# What is a cookie on a website (and what you must declare)

A cookie is a text file a site stores in the browser. What you must declare depends on its purpose: technical, analytical or profiling.

> Page: https://ui.eneawork.it/blog/cosa-sono-i-cookie-di-un-sito
> Markdown: https://ui.eneawork.it/blog/cosa-sono-i-cookie-di-un-sito.md

*2026-11-01*

Cosa sono i cookie di un sito: piccoli file di testo che il sito salva nel browser, e cosa devi dichiarare dipende da cosa fanno quei file. Un cookie tecnico di sessione non richiede consenso; uno di profilazione pubblicitaria sì, prima che venga scritto.

Il catalogo EneUI conta 111.985 componenti, 1.556 blocchi e 12.808 icone da 1.472 librerie, misurati e letti da /api/stats il 1 novembre 2026. La query «what is a cookie on a website» cresce del 3.250% nell'export Google Trends worldwide del 1 novembre 2026: è una variazione relativa su un indice, non un volume di ricerche. Nessun conteggio del catalogo riguarda i cookie: la parte normativa di questa guida viene dalle fonti citate, non da una misura nostra.

## Cosa contiene davvero un cookie

Un cookie ha un nome, un valore, un dominio, un percorso e una data di scadenza. Non contiene codice e non può leggere il disco: può solo essere rispedito al server che lo ha impostato. Gli attributi contano più del valore: HttpOnly lo nasconde a JavaScript, Secure lo limita a HTTPS, SameSite=Lax o Strict riduce le richieste cross-site.

Set-Cookie: session=abc123; Path=/; HttpOnly; Secure; SameSite=Lax

La differenza con localStorage è tecnica ma non giuridica: anche un identificativo salvato lì, se serve a riconoscere la persona, ricade nella stessa disciplina. Le Linee guida del Garante parlano infatti di «cookie e altri strumenti di tracciamento», non solo di cookie.

## Tre categorie, tre regimi

Tecnici. Sessione, autenticazione, preferenza di lingua, carrello. Sono necessari a erogare il servizio e non richiedono consenso, ma vanno elencati nella cookie policy.,Analitici. Misurano il traffico. Se lo strumento è configurato per non identificare le persone e non incrocia i dati, il Garante li assimila ai tecnici; se profila, serve consenso.,Di profilazione. Pubblicità, remarketing, pixel social. Richiedono consenso preventivo, revocabile e documentato, con la prova che l'utente ha scelto.

## Cosa dice la legge, articolo per articolo

La regola europea è nella direttiva 2002/58/CE, articolo 5, paragrafo 3, modificata dalla direttiva 2009/136/CE: l'archiviazione di informazioni nel terminale dell'utente richiede consenso informato, salvo ciò che è strettamente necessario al servizio. Il consenso si legge con il regolamento (UE) 2016/679, del 27 aprile 2016: articolo 6 per la base giuridica, articolo 7 per le condizioni, articolo 13 per l'informativa. In Italia la norma di recepimento è l'articolo 122 del Codice in materia di protezione dei dati personali, decreto legislativo 30 giugno 2003, n. 196. Il Garante ha fissato i dettagli con le Linee guida cookie e altri strumenti di tracciamento, provvedimento del 10 giugno 2021, n. 231, applicabili dal 10 gennaio 2022.

## Il banner: cosa deve avere e cosa non deve fare

Rifiuto allo stesso livello dell'accettazione. Un pulsante «Accetta» grande e un link «Rifiuta» nascosto non è un consenso valido.,Nessun cookie non tecnico prima della scelta. Il banner non può caricare il pixel e poi chiedere il permesso.,Nessun muro. Bloccare la lettura del sito finché non si accetta è una pratica contestata dal Garante.,Revoca sempre raggiungibile. Un link permanente, di solito nel footer, per riaprire le preferenze e cambiare idea.,Registro delle scelte. Conserva data e versione del consenso: senza prova, il consenso non regge a un controllo.

## Come verificare cosa installa il tuo sito

Il primo controllo non richiede strumenti: apri il sito in una finestra privata e guarda gli header della risposta. Il comando sotto stampa ogni Set-Cookie inviato dal server, che è la parte che molti banner non governano.

curl -s -D - -o /dev/null https://example.com | grep -i "set-cookie"

Il secondo controllo è in DevTools, scheda Application, sezione Cookies: lì vedi anche ciò che impostano script di terze parti dopo il caricamento. Confronta l'elenco con quello dichiarato nella cookie policy: ogni voce in più è una dichiarazione incompleta.

## Informativa privacy e cookie policy non sono la stessa cosa

L'informativa privacy, articolo 13 del regolamento (UE) 2016/679, spiega chi tratta i dati, per quali finalità e per quanto tempo. La cookie policy elenca gli strumenti installati, la loro durata e il loro scopo. Servono entrambe, e devono essere raggiungibili da ogni pagina. La struttura minima di un sito che le contiene è descritta in cosa deve avere un sito aziendale.

## Dove questa guida non basta

Questa pagina spiega il quadro, non certifica un banner. Stabilire se un consenso è valido dipende dal contesto, dal pubblico e dal fornitore: serve un legale o un consulente privacy, e il Garante valuta caso per caso. Un modello scaricato gratis e non configurato è la causa più frequente di contestazione.

## Cosa fare adesso

Elenca ogni cookie con nome, fornitore, durata e scopo, poi confronta l'elenco con la policy pubblicata.,Metti il rifiuto accanto all'accettazione e verifica che nessun pixel parta prima della scelta: il banner può usare i componenti modale.,Aggiungi un link permanente alle preferenze nel footer, per esempio con i componenti di navigazione e i blocchi footer.,Verifica che ogni pagina sia indicizzabile senza accettare cookie: le regole sono in indicizzare un sito su Google.,Se il sito è fatto a componenti, controlla chi carica gli script di terze parti: il confronto tra WordPress, Wix e componenti React spiega le differenze.

## FAQ

### Un cookie è un virus?

No. Un cookie è un file di testo con un nome e un valore, non un programma: non può eseguire codice né leggere file dal disco. Il rischio privacy nasce dal tracciamento, non dal file in sé.

### Serve il consenso per i cookie tecnici?

No, i cookie strettamente necessari al servizio non richiedono consenso, come prevede l'articolo 5, paragrafo 3, della direttiva 2002/58/CE. Vanno comunque elencati nella cookie policy con durata e scopo.

### Quanto deve essere facile rifiutare i cookie?

Tanto quanto accettare. Le Linee guida del Garante del 10 giugno 2021, n. 231, chiedono che il rifiuto sia raggiungibile allo stesso livello dell'accettazione, senza passaggi aggiuntivi.

### I cookie di Google Analytics richiedono consenso?

Dipende dalla configurazione. Se lo strumento è impostato per non identificare le persone e non incrocia dati, il Garante lo assimila ai cookie tecnici; se profila o condivide i dati, serve consenso preventivo.

### Per quanto tempo posso conservare un cookie?

Non esiste un tetto unico nella legge: la durata deve essere proporzionata allo scopo dichiarato. Le Linee guida del 10 giugno 2021 chiedono durate minime necessarie e un rinnovo periodico del consenso.